NCSC-Leitfaden beschreibt einen dreistufigen Ansatz zur Bewältigung von Cyberangriffen

Das britische National Cyber Security Centre (NCSC) hat einen Leitfaden veröffentlicht, der Organisationen beim Umgang mit stark beeinträchtigenden Cyberangriffen und bei der anschließenden Wiederherstellung helfen soll. Das Rahmenwerk berücksichtigt, dass ein schwerwiegender Vorfall erheblichen operativen und emotionalen Druck erzeugen kann, und empfiehlt Organisationen, ihre Mitarbeitenden zu unterstützen, während sie die technische und geschäftliche Reaktion koordinieren.

Der Leitfaden ist in drei Phasen gegliedert: die Bewältigung des ursprünglichen Vorfalls, die Wiederherstellung essenzieller Abläufe und der langfristige Wiederaufbau.

Die unmittelbaren Auswirkungen eindämmen

In den ersten Stunden und Tagen sollten Organisationen feststellen, was geschehen ist, die Folgen bewerten und die Entscheidungsfindung koordinieren. Das NCSC betont die Notwendigkeit schneller Abwehrmaßnahmen, klarer Governance sowie einer kontrollierten Kommunikation mit Mitarbeitenden, Kunden, Lieferanten und anderen Stakeholdern.

Außerdem empfiehlt das NCSC, erfahrene externe Spezialisten hinzuzuziehen. Insbesondere sollten Organisationen einen vom NCSC geprüften Anbieter für Cyber Incident Response (CIR) in Betracht ziehen, der technisches Fachwissen bereitstellen und die Verantwortlichen für die Bewältigung des Vorfalls während einer Untersuchung unter hohem Druck unterstützen kann.

Kritische Dienste wiederherstellen

Die zweite Phase umfasst die Erstellung und Umsetzung eines Wiederherstellungsprogramms mit dem Ziel, die Organisation in einen minimal funktionsfähigen Betrieb zurückzuführen. Die Prioritäten bei der Wiederherstellung sollten anhand der wichtigsten Geschäftsprozesse und nicht allein anhand der Technologie festgelegt werden.

Die Wiederherstellung von Systemen kann vorübergehende Umgehungslösungen erfordern. Ziel ist es jedoch, essenzielle Dienste wieder aufzunehmen, Kunden weiterhin zu unterstützen und das Vertrauen in die Organisation zu bewahren. Führungskräfte müssen daher festlegen, welche Aktivitäten am kritischsten sind, und ihre Entscheidungen entsprechend ausrichten.

Mit größerer Widerstandsfähigkeit neu aufbauen

Sobald der minimale Betrieb wiederhergestellt ist, können Organisationen zu einem längerfristigen Wiederaufbau übergehen. Diese Phase konzentriert sich darauf, zum normalen Betrieb zurückzukehren oder diesen zu verbessern und gleichzeitig die Schwachstellen zu beheben, die zum Vorfall beigetragen haben.

Nach Angaben des NCSC kann dies eine Neugestaltung von Systemen umfassen, sodass wesentliche Sicherheitspraktiken wie das Einspielen von Patches, eine sichere Konfiguration und die Zugriffskontrolle einfacher umgesetzt und aufrechterhalten werden können.

Pläne vor einem Vorfall testen

Der Leitfaden betont außerdem die Bedeutung der Vorbereitung. Organisationen sollten ihre Maßnahmen zur Vorfallsbewältigung erproben, Failover-Funktionen testen, das Herunterfahren und Neustarten von Systemen üben und überprüfen, ob sich Systeme aus Backups wiederherstellen lassen. Realistische Übungen können Schwachstellen aufdecken, die in schriftlichen Plänen und Planspielen möglicherweise unentdeckt bleiben. So können Teams die nötige Erfahrung entwickeln, um unter Druck wirksam zu reagieren.